Lets Encrypt Chain

Hallo
Das selbe Problem haben wir auch, die neuen LE Zertifikate die durch die Firewall selbst bezogen werden, werden nicht richtig implementiert. Gibt es dafür eine Lösung mittlerweile? 

Welche Dienste machen denn Probleme? 

Webbrowser akzeptieren das scheinbar, aber unser IPads sind da weniger nett und werten das Zertifikat als nicht gültig. 
Nachvollziehen kann man das in dem man eine neue WAF Regel mit einem von der Firewall geholten Let's Encrypt Zertifikat erstellt und dann die Domain mit https://whatsmychaincert.com/ z.B. testet

Normale Webbrowser -> alles OK

iPads -> melden ungültiges Zertifikat. 
Nachvollziehrbar mit: WAF Regel erstellen mit Lets Encrypt Zertifikat das von der Sophos selber geholt wurde.
Danach einen beliebigen Zertifikat Chain Checker laufen lassen.

Ich hab es gerade ausprobiert. 

WAF mit einem neuen LE Certificate. Sieht für mich korrekt aus. 

Ich hab es gerade ausprobiert. 

WAF mit einem neuen LE Certificate. Sieht für mich korrekt aus. 

Der Test von SSL Shopper zeigt leider nicht die gesamte Chain an. Wir ist das Ergebnis bei https://www.immuniweb.com/ssl?

SSL Shopper zeigt es richtig an, da ist bei mir alles auch grün.
Ich habe whatsmychaincert.com genutzt. da wird es als fehlerhaft deklariert. selbes zertifikat manuell erstellt und selber hochgeladen funktioniert. 
immuniweb sagt Server sends an unnecessary root certificate. ich glaube das ist auch der fehler...

Was ich nicht verstehe: whatsmychaincert.com sagt, wir sollten E6, X1 nutzen. Wir nutzen E6, X2? 
https://letsencrypt.org/certificates/#:~:text=The%20first%20chain%2C%20up%20to,to%20ensure%20the%20widest%20compatibility.

Und für mich sieht das in Ordnung aus? 

Kannst du ein Zertifikat über deinen internen Service generieren und eins über die Firewall und die Chain vergleichen? Weil ich sehe aktuell kein wirkliches Thema (Besonders kann ich kein Problem mit einem Gerät wie iPad oder iOS reproduzieren).